피싱(phishing)은 신뢰할 수 있는 기관이나 개인을 사칭해 이메일·메신저로 비밀번호나 신용카드 정보를 빼내는 소셜 엔지니어링 기법으로, 'private data'와 'fishing'의 합성어에서 유래했습니다. 공격은 특정 대상을 겨냥한 스피어 피싱, 고위 임원을 노리는 웨일링, 문자 메시지를 이용하는 스미싱, QR코드를 활용한 큐싱 등 다양한 형태로 진화했습니다. 대표적인 사례로 2003년 11월, 이베이를 사칭한 이메일이 계정 정지를 협박하며 사용자들의 금융정보를 탈취한 사건이 있습니다. 이를 예방하기 위해 이메일 인증 기술인 SPF·DKIM·DMARC와 2005년에 시작된 Google Safe Browsing이 브라우저를 보호하는 핵심 수단으로 사용되고 있습니다. 그러나 기존 인증 방식은 구조적으로 취약하다는 한계가 있어, 최근에는 월드 ID(World ID)와 같이 생체 정보를 암호화하여 활용하는 탈중앙화 신원 인증이 자격증명 탈취를 원천 차단하는 차세대 대안으로 떠오르고 있습니다. 전문가는 무엇보다 링크 클릭 전 신중한 확인과 정기적인 비밀번호 변경 같은 기본적인 사용자 습관이 가장 강력한 방어책이라고 강조합니다.